Remote desktop sharing Ammyy Admin

[majka98]

Zainstalowałam powyższy program, pojawiło mi sie okno ktos chcial nawiazac połaczenie i kliknelam poniewaz przywiesił sie komputer polacz i w dodatku byla zaznaczona opcja zapamietaj ustawienia.
Na ekranie zaczoł poruszac sie kursor ktos zdalnie miał dostep do plikow komputer wylaczyłam i uruchomiłam ponowanie.
Mam obawy ze moze chodzic w tle prosilabym o pomoc
Program zainstalowałam z tej strony http://www.ammyy.com/en/downloads.html

gmer.txt

FRST.txt

Addition.txt

Shortcut.txt

Edytowane 16 Października 2016 przez Rucek
Czyszczę i łączę posty.

[picasso]

Po tytułowym programie widać tylko jeden odpadkowy katalog C:\ProgramData\AMMYY i to nie ma znaczenia. Ale w systemie są inne grubsze problemy, czyli infekcje adware (Lightzap, PriceFountain i problemy w obu przeglądarkach). Do usunięcia będą też różne puste wpisy.

 

Operacje do przeprowadzenia:

 

1. Problemy w przeglądarkach:

- Jest tu zdefektowane przez adware Google Chrome (zmodyfikowane biblioteki DLL). Wymagana reinstalacja od zera. Odinstaluj całkowicie przeglądarkę. Przy deinstalacji zaznacz Usuń także dane przeglądarki.

- W Firefox odinstaluj rozszerzenia Abduction! i Youtube Downloader - 4K Download, wbudowane adware: KLIK, KLIK.

 

2. Otwórz Notatnik i wklej w nim:

 

CloseProcesses:
CreateRestorePoint:
AppInit_DLLs: C:\ProgramData\Lightzap\Canranplus.dll => Brak pliku
AppInit_DLLs-x32: C:\ProgramData\Lightzap\FreshSolosing.dll => C:\ProgramData\Lightzap\FreshSolosing.dll [257536 2016-02-14] ()
Task: {002D098A-BCAF-4289-84B3-8050DCB7541A} - System32\Tasks\{285C313D-328A-41FB-9361-304B2A15B5A4} => pcalua.exe -a C:\Users\piotr\AppData\Roaming\uTorrent\uTorrent.exe -c /UNINSTALL
Task: {26F8BE0E-9C46-4CEA-ABD7-8B672E613E40} - System32\Tasks\psv_DonTraxfresh => /c regedit.exe /s "C:\ProgramData\Lightzap\ZaamIng.reg" & del "C:\ProgramData\Lightzap\ZaamIng.reg" & SCHTASKS /Delete /TN "psv_DonTraxfresh" /F 
Task: {3B165D12-2431-4064-83CE-F4E78FBE6596} - System32\Tasks\psv_Keyzimex => /c regedit.exe /s "C:\ProgramData\Lightzap\Trustlight.reg" & del "C:\ProgramData\Lightzap\Trustlight.reg" & SCHTASKS /Delete /TN "psv_Keyzimex" /F 
Task: {3B7133F7-7211-415F-8E10-57D4CA7C4B6C} - System32\Tasks\psv_Tamptough => /c regedit.exe /s "C:\ProgramData\Lightzap\HotRon.reg" & del "C:\ProgramData\Lightzap\HotRon.reg" & SCHTASKS /Delete /TN "psv_Tamptough" /F 
Task: {589E0B95-1E7C-4931-9485-7C0017408114} - System32\Tasks\piotrMuggeredIntroducerV2 => Rundll32.exe CurrycombShitted.dll,main 7 1 
Task: {5A63ED82-8231-45E8-AF59-550914F2AB91} - System32\Tasks\{4A1F0962-D810-4AA2-A6C5-D337975D404E} => pcalua.exe -a C:\Users\piotr\Desktop\PhotoshopPortable.exe -d C:\Users\piotr\Desktop
Task: {5BE9E27F-32A6-4FE8-B11F-801A24F9041E} - System32\Tasks\{A204B87F-3957-4DB8-AF84-F4ACEAFAD3EF} => pcalua.exe -a F:\PhotoshopPortable.exe -d F:\
Task: {75EDCA7A-8EA9-4EBA-9BA3-47C28396F86F} - System32\Tasks\psv_GrooveDox => /c regedit.exe /s "C:\ProgramData\Lightzap\LexiLotdom.reg" & del "C:\ProgramData\Lightzap\LexiLotdom.reg" & SCHTASKS /Delete /TN "psv_GrooveDox" /F 
Task: {7DC71B45-FA0A-4683-B362-A9F52D82A95E} - System32\Tasks\{1DC029F8-443C-406A-8220-4A99BF14DA4D} => pcalua.exe -a C:\Users\piotr\AppData\Roaming\sweet-page\UninstallManager.exe -c -ptid=cor
Task: {81E8817A-F423-456D-B159-F8C6BD073B77} - System32\Tasks\Adobe Acrobat Update Task => C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe
Task: {AF685482-7468-4E8D-84FE-CA50270BC826} - System32\Tasks\{380B4E25-1B68-1CA5-C522-172CD713D6CC} => C:\Users\piotr\AppData\Roaming\PriceFountainUpdateVer\Updater.exe [2013-04-20] () 
Task: {C0F10817-6021-40D2-AB08-D377E395BFCD} - System32\Tasks\piotrTraumatologiesSalivaryV2 => Rundll32.exe NeutralizationsProcedurals.dll,main 7 1 
Task: {C8E3BC61-C001-48D2-9116-2CE98AFBA737} - System32\Tasks\DriverToolkit Autorun => C:\Program Files (x86)\DriverToolkit\DriverToolkit.exe
Task: {D9C779BB-EC8F-45C4-BB27-474FCD07F145} - System32\Tasks\Driver Booster SkipUAC (piotr) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Task: {DEF3926A-8806-47E4-BCE1-B109B4E409CA} - System32\Tasks\psv_Coftech => /c regedit.exe /s "C:\ProgramData\Lightzap\Tempin.reg" & del "C:\ProgramData\Lightzap\Tempin.reg" & SCHTASKS /Delete /TN "psv_Coftech" /F 
Task: {F74D8A2B-3F63-4ACB-AE3C-CA6173F345CB} - System32\Tasks\{5DBABE6C-0B5A-4775-B6A3-5E360D8B45EC} => pcalua.exe -a "C:\Program Files (x86)\InstallShield Installation Information\{3108C217-BE83-42E4-AE9E-A56A2A92E549}\setup.exe" -c -runfromtemp -removeonly
Task: {FBF1FFAE-464D-4AFB-B482-8832A0ECD59F} - System32\Tasks\{A4E11ADD-5F8A-4B7F-B362-87570EBFD544} => pcalua.exe -a "E:\Total Media\Setup.exe" -d "E:\Total Media"
Task: {FDFA9572-8EB2-4A2B-9EEE-EC9B56284377} - System32\Tasks\piotrOreDrainedV2 => Rundll32.exe LecturedCompels.dll,main 7 1 
Task: C:\Windows\Tasks\DriverToolkit Autorun.job => C:\Program Files (x86)\DriverToolkit\DriverToolkit.exe
Task: C:\Windows\Tasks\{380B4E25-1B68-1CA5-C522-172CD713D6CC}.job => C:\Users\piotr\AppData\Roaming\PRICEF~1\Updater.exe 
S2 LiveUpdateSvc; C:\Program Files (x86)\IObit\LiveUpdate\LiveUpdate.exe [2934048 2015-10-09] (IObit)
S2 AdobeARMservice; "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe" [X]
S3 ewusbnet; system32\DRIVERS\ewusbnet.sys [X]
S3 ew_hwusbdev; system32\DRIVERS\ew_hwusbdev.sys [X]
S3 huawei_enumerator; system32\DRIVERS\ew_jubusenum.sys [X]
S3 hwdatacard; system32\DRIVERS\ewusbmdm.sys [X]
S3 MBAMSwissArmy; \??\C:\Windows\system32\drivers\MBAMSwissArmy.sys [X]
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
HKLM\...\Run: [AdobeAAMUpdater-1.0] => "C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe"
HKU\S-1-5-21-4203839743-1770721236-564859656-1000\...\RunOnce: [FlashPlayerUpdate] => C:\Windows\SysWOW64\Macromed\Flash\FlashUtil32_23_0_0_162_pepper.exe -update pepperplugin
FF Plugin: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect64.dll [brak pliku]
FF Plugin-x32: @messenger.yahoo.com/YahooMessengerStatePlugin;version=1.0.0.6 -> C:\Program Files (x86)\Yahoo!\Shared\npYState.dll [2012-05-25] (Yahoo! Inc.)
FF Plugin-x32: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect32.dll [brak pliku]
FF user.js: detected! => C:\Users\piotr\AppData\Roaming\Mozilla\Firefox\Profiles\50s4jlvj.default\user.js [2015-12-16]
FF NewTab: Mozilla\Firefox\Profiles\50s4jlvj.default ->
FF DefaultSearchUrl: Mozilla\Firefox\Profiles\50s4jlvj.default -> hxxp://search.yahoo.com/search?fr=mkg030&p=
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\50s4jlvj.default -> Yahoo
FF Keyword.URL: Mozilla\Firefox\Profiles\50s4jlvj.default -> hxxp://search.yahoo.com/search?fr=mkg030&p=
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = www.google.com
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = www.google.com
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = www.google.com
HKU\S-1-5-21-4203839743-1770721236-564859656-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.bing.com/search?q={searchTerms}
HKU\S-1-5-21-4203839743-1770721236-564859656-1000\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://www.bing.com/search?q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {ielnksrch} URL =
SearchScopes: HKLM-x32 -> ielnksrch URL = hxxp://www.bing.com/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-4203839743-1770721236-564859656-1000 -> {DECA3892-BA8F-44b8-A993-A466AD694AE4} URL = hxxp://search.yahoo.com/search?p={searchTerms}&fr=mkg028
SearchScopes: HKU\S-1-5-21-4203839743-1770721236-564859656-1000 -> {ielnksrch} URL = hxxp://www.bing.com/search?q={searchTerms}
BHO-x32: Brak nazwy -> {02478D38-C3F9-4efb-9B51-7695ECA05670} -> Brak pliku
DeleteKey: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\mountpoints2
AlternateDataStreams: C:\ProgramData:$SS_DESCRIPTOR_LBP6VPVFLVGVVFB84LTSUTB92PFNPC7BPV4XFJDMNGTFB5V5NBJ5TBBJMT9Y0N96GMP3V0GRUEF39X8XHH0TCFUL44FTBX4MLSWPBXRTF6VEKLFEJK35PNX0WHNGT9LSVEVF1VTVVTVXVVD [971]
AlternateDataStreams: C:\Users\All Users:$SS_DESCRIPTOR_LBP6VPVFLVGVVFB84LTSUTB92PFNPC7BPV4XFJDMNGTFB5V5NBJ5TBBJMT9Y0N96GMP3V0GRUEF39X8XHH0TCFUL44FTBX4MLSWPBXRTF6VEKLFEJK35PNX0WHNGT9LSVEVF1VTVVTVXVVD [971]
AlternateDataStreams: C:\ProgramData\Application Data:$SS_DESCRIPTOR_LBP6VPVFLVGVVFB84LTSUTB92PFNPC7BPV4XFJDMNGTFB5V5NBJ5TBBJMT9Y0N96GMP3V0GRUEF39X8XHH0TCFUL44FTBX4MLSWPBXRTF6VEKLFEJK35PNX0WHNGT9LSVEVF1VTVVTVXVVD [971]
AlternateDataStreams: C:\ProgramData\Dane aplikacji:$SS_DESCRIPTOR_LBP6VPVFLVGVVFB84LTSUTB92PFNPC7BPV4XFJDMNGTFB5V5NBJ5TBBJMT9Y0N96GMP3V0GRUEF39X8XHH0TCFUL44FTBX4MLSWPBXRTF6VEKLFEJK35PNX0WHNGT9LSVEVF1VTVVTVXVVD [971]
C:\Program Files (x86)\IObit
C:\Program Files (x86)\Mozilla Firefox\browser\searchplugins
C:\ProgramData\AMMYY
C:\ProgramData\fenoccnhiaidjfmjmfodlmdfolakgdgb
C:\ProgramData\Lightzap
C:\ProgramData\ProductData
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Application Manager.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoIt v3
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DVD X Player 5.5 Professional
C:\Users\piotr\AppData\Local\housecall.guid.cache
C:\Users\piotr\AppData\Local\Temp-log.txt
C:\Users\piotr\AppData\Local\MuggeredIntroducer
C:\Users\piotr\AppData\Local\Opera Software
C:\Users\piotr\AppData\Local\OreDrained
C:\Users\piotr\AppData\Roaming\*.*
C:\Users\piotr\AppData\Roaming\Opera Software
C:\Users\piotr\AppData\Roaming\PriceFountainUpdateVer
C:\Users\piotr\AppData\Roaming\ProductData
C:\Users\piotr\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Play Games Online.url
C:\Users\piotr\AppData\Roaming\Microsoft\Windows\Start Menu\ByteFence
C:\Users\piotr\AppData\Roaming\Mozilla\Firefox\Profiles\50s4jlvj.default\searchplugins
C:\Users\Public\Desktop\Adobe Application Manager.lnk
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt w folderze z którego uruchamiasz FRST. Uruchom FRST i kliknij w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

3. Zrób nowy log FRST z opcji Skanuj (Scan), bez Shortcut. Dołącz też plik fixlog.txt.